Der CRA verlangt zu wissen, woraus Ihr Produkt besteht.
Für alle, die Produkte mit digitalen Elementen herstellen, einführen oder integrieren: HodeiShield nimmt das SBOM von Lieferanten oder eines eigenen Assets auf, gleicht es mit CVE ab und warnt Sie je Komponente. Es ersetzt weder Ihre technische Dokumentation noch Ihre Meldung.
- SBOM nur als JSON (CycloneDX oder SPDX), mit authentifiziertem Upload
- Daten in der EU (OVH, Gravelines); Cloudflare (USA) auf dem Anfragepfad
Was der CRA verlangt, kurz gefasst
Der CRA legt Cybersicherheitsanforderungen für Produkte mit digitalen Elementen über ihren gesamten Lebenszyklus fest.
Informative Zusammenfassung, keine Rechtsberatung. Ob Ihr Produkt in den Anwendungsbereich fällt und in welche Kategorie, hängt vom amtlichen Text ab.
- Wissen, woraus es besteht
- Der Hersteller ermittelt und dokumentiert die Schwachstellen und die Komponenten des Produkts, einschließlich einer Software-Stückliste (SBOM) in einem gängigen, maschinenlesbaren Format (Anhang I Teil II).
- Sorgfalt bei Komponenten Dritter
- Wer Komponenten Dritter integriert, muss mit der gebotenen Sorgfalt handeln, damit sie die Cybersicherheit des Produkts nicht beeinträchtigen (Artikel 13).
- Beheben und melden
- Schwachstellen werden unverzüglich behoben, auch durch Sicherheitsupdates (Anhang I Teil II). Aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle, die die Sicherheit des Produkts beeinträchtigen, werden gleichzeitig dem koordinierenden CSIRT und der ENISA über die einheitliche Meldeplattform gemeldet, mit einer Frühwarnung innerhalb von 24 Stunden (Artikel 14).
- Dokumentieren und kennzeichnen
- Technische Dokumentation, Konformitätsbewertung und CE-Kennzeichnung je nach Produktkategorie. Ein Cloud-Dienst für sich allein (SaaS) liegt grundsätzlich außerhalb ihres Anwendungsbereichs, aber die Datenfernverarbeitung, die ein Produkt zum Funktionieren braucht, gehört zu diesem Produkt (Artikel 3 Nummer 2, Erwägungsgründe 11 und 12).
Vom SBOM zum Komponentennachweis
Die Schritte, die die Plattform abdeckt, und die, die bei Ihnen bleiben.
1
Nicht abgedecktDas SBOM beschaffen
Ihr Build erzeugt es, oder der Lieferant liefert es. HodeiShield erzeugt es nicht aus dem Code.
2
DirektAuthentifizierter Upload
SBOM als JSON in CycloneDX oder SPDX, einem Lieferanten oder einem eigenen Asset zugeordnet.
3
DirektAbgleich mit CVE
Die Komponenten werden mit OSV.dev und mit der täglichen Synchronisierung von CVE und CISA KEV abgeglichen.
4
DirektWarnung je Komponente
Die CVE, die eine Komponente betrifft, wird zu einer Warnung, die dem Lieferanten zugeordnet und an Ihre Ziele geroutet wird.
5
DirektInventar und Download
Die Komponenten und ihr Stand gegenüber CVE sind je Lieferant abfragbar, und das ursprüngliche SBOM kann heruntergeladen werden.
6
Nicht abgedecktWas auf Ihrer Seite bleibt
Technische Dokumentation und CRA-Meldung: beheben, an ENISA oder CSIRT melden und die Akte führen.
Das SBOM wird nicht attestiert: Das Trust Center signiert seinen Inhalt nicht.
Von jeder CRA-Pflicht zu einer Fähigkeit von HodeiShield
Mit Phase im Zyklus und dem tatsächlichen Umfang jeder einzelnen.
Direkt: Die Plattform erledigt es. Teilweise: Sie liefert Nachweise oder einen Teil, den Rest übernehmen Sie. Nicht abgedeckt: liegt außerhalb von HodeiShield.
- Pflicht:
Die Komponenten ermitteln und dokumentieren, einschließlich eines SBOM
Anhang I Teil II
Was HodeiShield leistet:Nimmt das SBOM eines Lieferanten oder eines eigenen Assets auf und analysiert es. Es erzeugt es nicht aus dem Quellcode.
Docs · SBOM-, CVE- und Warnkette (öffnet sich in einem neuen Tab)PhaseSENSEUmfangTeilweise - Pflicht:
Schwachstellen unverzüglich beheben
Anhang I Teil II
Was HodeiShield leistet:Warnungen je Komponente mit CVE, KEV, Ausnutzungswahrscheinlichkeit (EPSS) und Auswirkungsradius. Die Warnungen werden an 9 Ziele geroutet und benachrichtigen oder erstellen ein Ticket in Ihrem System, gemäß Ihrer Regel. Es ist keine Behebung.
Docs · Konnektoren (öffnet sich in einem neuen Tab)PhasePREDICTACTUmfangTeilweise - Pflicht:
Wissen, ob eine Schwachstelle aktiv ausgenutzt wird
Art. 14
Was HodeiShield leistet:Markiert die Komponenten mit CVE im CISA-KEV-Katalog. Die Meldung an ENISA und CSIRT liegt bei Ihnen.
Docs · Risiko-Engine (öffnet sich in einem neuen Tab)PhaseSENSEUmfangTeilweise - Pflicht:
Gebotene Sorgfalt bei Komponenten Dritter
Art. 13
Was HodeiShield leistet:Lieferantenfragebögen, periodischer externer Scan und SBOM im selben Graphen der deklarierten Abhängigkeiten.
Docs · SBOM-, CVE- und Warnkette (öffnet sich in einem neuen Tab)PhaseSENSEPREDICTUmfangTeilweise - Pflicht:
Den Komponentennachweis zusammenstellen
Anhang VII
Was HodeiShield leistet:Inventar der Komponenten jedes SBOM mit ihrem Stand gegenüber CVE und Download des ursprünglichen SBOM. Es ist weder die technische Dokumentation noch die EU-Konformitätserklärung.
Docs · SBOM-, CVE- und Warnkette (öffnet sich in einem neuen Tab)PhaseSENSEUmfangTeilweise - Pflicht:
Richtlinie zur koordinierten Offenlegung von Schwachstellen
Anhang I Teil II
Was HodeiShield leistet:Außerhalb von HodeiShield.
PhaseAußerhalb des ZyklusUmfangNicht abgedeckt - Pflicht:
Konformitätsbewertung, EU-Erklärung und CE-Kennzeichnung
Kap. III
Was HodeiShield leistet:Außerhalb von HodeiShield.
PhaseAußerhalb des ZyklusUmfangNicht abgedeckt
Was HodeiShield beim CRA nicht leistet
Was Sie erwarten können und was nicht.
Erzeugt Ihr SBOM nicht
Es nimmt SBOM in JSON als CycloneDX oder SPDX auf. Es baut sie nicht aus Ihrem Repository oder Ihrem Build.
Meldet nicht an ENISA oder das CSIRT
Es sagt Ihnen, welche Komponenten CVE haben und welche im KEV stehen. Die Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Vorfälle nehmen Sie selbst vor.
Ersetzt weder die technische Dokumentation noch die CE-Kennzeichnung
Das Inventar stellt Komponentennachweise zusammen. Die Konformitätsbewertung und die EU-Erklärung bleiben Sache des Herstellers.
Überwacht nicht kontinuierlich
Die CVE-Synchronisierung ist täglich, und der Abgleich erfolgt mit dem SBOM, das Sie hochgeladen haben. Ein veraltetes SBOM liefert ein veraltetes Ergebnis.
Fragen zum CRA
Für Hersteller, Importeure und Integratoren.
Erzeugt HodeiShield das SBOM meines Produkts?
Nein. Es nimmt SBOM in JSON als CycloneDX oder SPDX auf, die Sie hochladen oder die ein Lieferant liefert, gleicht sie mit CVE ab und warnt je Komponente.
Welchen Komponentennachweis liefert es?
Das Inventar der Komponenten jedes SBOM mit ihrem Stand gegenüber CVE und den Download des ursprünglichen SBOM. Es ist weder Ihre technische Dokumentation noch die EU-Konformitätserklärung.
Wann gilt der CRA?
Die Verordnung (EU) 2024/2847 ist am 10. Dezember 2024 in Kraft getreten. Die Vorschriften über Konformitätsbewertungsstellen (Kapitel IV) gelten ab dem 11. Juni 2026, die Meldepflichten der Hersteller (Artikel 14) ab dem 11. September 2026, auch für Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, und der Rest ab dem 11. Dezember 2027 (Artikel 69 und 71).
Ich nutze nur Software von Dritten. Betrifft mich das?
Der CRA richtet sich an Hersteller, Importeure und Händler von Produkten mit digitalen Elementen. Wenn Sie nur Software nutzen, erreicht er Sie über Ihre Lieferanten und über Ihre Pflichten zur Lieferkette, etwa unter NIS2.
Wird das SBOM attestiert?
Nein. Das SBOM dient dazu, CVE zu erkennen und zu warnen, aber das Trust Center signiert seinen Inhalt nicht.
Laden Sie ein SBOM hoch und sehen Sie, welche Komponenten Sie exponieren
In der Demo nehmen wir ein Beispiel-SBOM auf, gleichen es mit CVE ab und gelangen zum Komponenteninventar.
Unverbindlich. Beispieldaten.